Belangrijkste punten
- Stel audit logging in bij Google Workspace, Microsoft 365, Salesforce, Slack en andere SaaS-applicaties om bij te houden wie wat wanneer en hoe heeft verwijderd.
- Let op verwijderingen met een hoog risico, zoals het leegmaken van mailboxen, het verwijderen van gedeelde drives of records en het wissen van Slack-kanalen.
- Exporteer logs en breng ze onder in één schema zodat u verwijderingen op verschillende platformen kunt vergelijken.
- Markeer massale of geprivilegieerde verwijderingen met drempelwaarden voor notificaties en bepaal wie escalaties ontvangt.
- Zet verwijderlogs om in overzichten voor klanten die governance en verantwoording zichtbaar maken.
- Test SaaS-back-ups elk kwartaal tegen uw RTO- en RPO-doelen om te bevestigen dat verwijderde data terug te zetten is.
Om door beheerders uitgevoerde verwijderingen op SaaS-platformen te volgen, stelt u in elke applicatie audit logging in, exporteert u de logs naar één gestandaardiseerd formaat en stelt u notificaties in voor verwijderingen met een hoog risico of massale verwijderingen. Test vervolgens uw SaaS-back-ups om te bevestigen dat alles wat een beheerder verwijdert ook te herstellen is. MSP’s en interne IT-teams kunnen de vijf onderstaande strategieën volgen.
Beheerdersaccounts beschikken over vergaande rechten, waarmee technici systemen, netwerken en servers in verschillende omgevingen kunnen beheren en monitoren. Hoe krachtig die accounts ook zijn, één verkeerde klik kan cruciale SaaS-data en resources verwijderen, waaronder gedeelde drives, mailboxen, records en communicatiegeschiedenis.
Zonder goede documentatie van SaaS-logs kunnen onbedoelde verwijderingen leiden tot permanent dataverlies, zeker wanneer back-up- en bewaarbeleid niet op elkaar zijn afgestemd. Afhankelijk van de omvang van het dataverlies kunnen compliance-overtredingen ontstaan terwijl technici en klanten geen zicht hebben op kwaadaardige interne activiteit.
Versterk uw strategie voor gegevensbescherming in Google Workspace met NinjaOne.
Strategieën voor SaaS audit logging om verwijderde bestanden effectief te monitoren
SaaS-logs leveren een duidelijke audittrail bij het volgen van door beheerders uitgevoerde verwijderingen, zodat technici op de hoogte blijven. Overzichtelijke SaaS-logs versnellen de analyse van de onderliggende oorzaak en helpen beheerders onderzoeken of verwijderingen per ongeluk, kwaadwillend of beleidsmatig waren.
Proactief IT Management kan het herstel na onbedoelde verwijderingen stroomlijnen, de uitvaltijd beperken en organisaties helpen compliance-risico’s te beheersen. Bovendien helpen de juiste cijfers tijdens QBR’s om verantwoording aan te tonen en compliancebeoordelingen te ondersteunen voor MSP’s en interne IT-teams.
Vereisten:
- Centrale opslag voor geëxporteerde logs en rapporten, zoals NinjaOne Documentation of een SIEM.
- Toegang tot SaaS-beheerportalen en audit logs
- Vastgelegde compliance-eisen van de klant
- Escalatie-SLA’s voor verdachte verwijderingen
Een stap-voor-stapuitleg met schermafbeeldingen vindt u hier: Gebruik SaaS-logs om door beheerders uitgevoerde verwijderingen op alle platformen te monitoren.
Strategie 1: geef toegang tot native SaaS-logs
Toegang tot SaaS audit logs vormt de basis die het monitoren van verwijderingen mogelijk maakt. Zonder toegang tot de audit logs van SaaS-applicaties wordt het lastiger om verwijderingen betrouwbaar te detecteren, verdachte activiteit te onderzoeken en bewijs te verzamelen voor audits.
Een goede eerste stap is het inschakelen van audit logs per SaaS-applicatieabonnement of eigenaarschap dat elke klant heeft. Zo worden app-gebeurtenissen goed vastgelegd en ontstaat er transparantie als er onbedoeld of kwaadwillend iets wordt verwijderd.
Voorbeelden van SaaS-applicaties en hoe u hun logfunctie benadert
| Platform | Hoe u de verwijderlogs benadert | Bewaartermijn en vereisten |
| Google Workspace | Ga naar het Beheerdersportaal, selecteer Rapportage > Controle en onderzoek en kies vervolgens Drive-loggebeurtenissen of Gebruikersloggebeurtenissen. | Vereist een beheerdersaccount met het recht Controle en onderzoek. Drive-loggebeurtenissen worden ongeveer zes maanden bewaard en de meeste gebeurtenissen worden alleen vastgelegd voor bestanden van gebruikers met een ondersteunde editie. |
| Microsoft 365 | Open de Microsoft Purview-portal en ga naar Controle. Audit logging staat standaard aan. Controleer of het nog steeds aan staat door Get-AdminAuditLogConfig uit te voeren in Exchange Online PowerShell en na te gaan of UnifiedAuditLogIngestionEnabled op True staat. | Records van Audit (Standard) worden 180 dagen bewaard. De bewaartermijn hangt af van de licentie die aan elke gebruiker is toegewezen. |
| Microsoft Entra ID | Bekijk de audittrail van Microsoft Entra, waarin verwijderacties voor gebruikers, groepen en app-registraties worden vastgelegd. | Log zowel soft als hard deletes en noteer welke van de twee heeft plaatsgevonden. |
| Salesforce | Gebruik Setup Audit Trail om wijzigingen in beheer en configuratie te bekijken en gebruik Salesforce Event Monitoring (onderdeel van de Shield-add-on) voor activiteitenlogs. Controleer in de Salesforce-documentatie welk log de verwijdering van records vastlegt voor uw editie en licentie. | Event Monitoring vereist Salesforce Shield of de add-on Event Monitoring. |
| Slack | Gebruik de Audit Logs API om verwijderde bestanden en andere verwijdergebeurtenissen te monitoren. | Alleen beschikbaar op Enterprise Grid. Elke aanvraag levert maximaal 9.999 gebeurtenissen op. |
Voorbeeld van een Python-script om de Audit Logs API van Slack te bevragen
Het volgende Python-script haalt verwijdergebeurtenissen op via het filter “action”: “file_deleted” en toont het ID van de gebruiker die elke verwijdering heeft uitgevoerd. Om de door beheerders uitgevoerde verwijderingen te isoleren, vergelijkt u elk actor-ID met uw lijst van beheerdersaccounts of geeft u het gebruikers-ID van een bekende beheerder mee in het actor-filter. Vervang xoxp-your-token door een geldig Slack Enterprise Grid-token dat toegang heeft tot de Audit Logs API.
pip install requestsimport requestsurl = "https://api.slack.com/audit/v1/logs"headers = {"Authorization": "Bearer xoxp-your-token"}params = {"action": "file_deleted"}response = requests.get(url, headers=headers, params=params)for event in response.json().get("events", []):print(event["actor"], event["action"], event["entity_name"], event["date_create"]) |
Belangrijk: voer een geldig Slack Enterprise Grid-token in, want gratis of standaardabonnementen bevatten de functie Audit Logs API niet.
Strategie 2: bouw een platformoverkoepelende inventaris voor het monitoren van verwijderde bestanden
Zicht via logs is de eerste stap naar effectieve strategieën om verwijderde bestanden te volgen. Elk SaaS-platform legt verwijderingen echter op zijn eigen manier vast en benoemt ze anders. Zonder standaardisatie raken de gegevens van leveranciers versnipperd en worden ze moeilijk te analyseren.
Bepaal welke verwijdergebeurtenissen ertoe doen
Niet alle verwijdergebeurtenissen brengen hetzelfde risico met zich mee en ongerichte monitoring verandert cruciale inzichten in ruis. Gerichte monitoring verlegt de aandacht van brede doelen naar verwijderingen met grote impact, zodat logs bruikbare inzichten en zinvolle informatie opleveren voor audits en QBR’s.
Het is dan ook belangrijk om te bepalen welke verwijdergebeurtenissen er in een omgeving toe doen. Houd de volgende verwijdergebeurtenissen nauwlettend in de gaten:
- Google Workspace: verwijderde gedeelde drives, verwijderde Gmail-berichten en verwijderde Google Groups.
- Microsoft 365: het leegmaken van Exchange-mailboxen, het verwijderen van SharePoint- of Teams-sites en het verwijderen van OneDrive-mappen.
- Microsoft Entra ID: verwijderde gebruikers, groepen en app-registraties, inclusief of het om een soft of hard delete ging.
- Salesforce: verwijderde klantrecords en permanent verwijderde records, voor zover de beschikbare audit logs dat ondersteunen.
- Slack: verwijderde kanalen of gewiste berichten.
Begrijp het verschil tussen soft en hard deletes
Veel platformen verwijderen in twee stappen. Een soft-deleted object, zoals een gebruiker, een Microsoft 365-groep of een app-registratie in Microsoft Entra ID, komt in een opgeschorte status terecht en kan nog worden hersteld, terwijl een hard delete het object definitief verwijdert. Log beide gebeurtenissen en noteer welke heeft plaatsgevonden, want de herstelmogelijkheden verschillen.
Weet hoe lang elk log bewaard blijft
Platformlogs verlopen. Microsoft Purview Audit (Standard) bewaart records standaard 180 dagen en Google Workspace bewaart Drive-loggebeurtenissen ongeveer zes maanden. De bewaartermijn hangt vaak af van de licentie of editie, dus lagere niveaus bewaren mogelijk minder of leggen minder gebeurtenissen vast. Exporteer logs volgens een vast schema zodat het bewijs van een verwijdering langer bestaat dan de bewaartermijn van het platform.
Exporteer SaaS-logs naar CSV of via API’s
De meeste SaaS-platformen kunnen hun audit logs exporteren naar CSV-bestanden en, voor betere automatisering, via API’s. Door deze data te exporteren, worden ze overdraagbaar, zodat technici en beheerders verwijderlogs buiten de betreffende SaaS-platformen kunnen bekijken, delen en veiligstellen. Dat levert de gegevens op die nodig zijn om een centraal beeld te vormen van verwijderactiviteit op alle platformen.
💡 Let op: niet alle SaaS-logs bieden gedetailleerde inzichten in verwijderingen, zeker niet bij lagere licentieniveaus. Mogelijk is aanvullende dataverrijking met andere applicaties nodig voor betere inzichten.
Standaardiseer data met een consistent formaat
Elk platform hanteert zijn eigen naamgeving en één veld kan verschillend worden benoemd, wat verwarring en een versnipperde interpretatie oplevert. Een actor kan bijvoorbeeld onder verschillende velden staan, zoals initiated_by of userPrincipalName.
Een consistent schema maakt platformoverkoepelende queries eenvoudiger en helpt teams verwijderrecords samen te voegen voor centrale monitoring en auditbeoordelingen.
Voorbeeld van een inventaris met verwijdergebeurtenissen
Gecombineerd komen de strategieën uit dit onderdeel samen in één dashboard dat gebeurtenissen van alle SaaS-platformen centraal bundelt. Zo kunnen technici en beheerders alle belangrijke cijfers bekijken in een enkel dashboard.
| Platform | Actor | Actie | Entiteit | Tijdstempel (UTC) | Methode |
| Google Drive | admin@sample | drive_deleted | Finance SharedDrive | 2026-09-25 15:22:12 | UI |
| Microsoft 365 | sysadmin@sample | mailbox_purged | John Doe Mailbox | 2026-08-22 12:25:37 | API |
| Salesforce | crmadmin | customer_record_deleted | Account #32312 | 2026-09-13 16:43:56 | UI |
| Slack | itadmin | channel_deleted | #marketing-channel | 2026-09-25 09:00:00 | API |
💡 Tip: synchroniseer de klokken van endpoints en SaaS-diensten in UTC zodat tijdlijnen vergelijkbaar blijven bij vergelijkingen tussen systemen.
Strategie 3: stel drempelwaarden in voor notificaties en escalatie
Drempelwaarden maken van ruwe dataruis bruikbare signalen en voorkomen notificatiemoeheid. Zo kunnen technici verwijderingen op SaaS-platformen proactief opmerken en snel herstellen, wat mogelijk dataverlies en uitvaltijd beperkt.
Markeer massale verwijderingen boven een bepaalde drempel
Door massale verwijderingen boven een bepaalde drempel te markeren (bijvoorbeeld > 100 bestanden in Google Drive), herkent u riskante verwijderpatronen snel. Vroege detectie stelt technici in staat kwaadaardige verwijderingen te beperken door accounts te bevriezen en data te herstellen, zodat de omvang beperkt blijft voordat het zich verder uitbreidt.
Activeer notificaties voor risicovolle verwijderingen door beheerders
Een gecompromitteerd beheerdersaccount kan enorme gevolgen hebben voor klanten. Het verwijderen van klantendatabases in Salesforce kan bijvoorbeeld de winst van de klant en de workflow van de organisatie ernstig schaden. MSP’s en interne IT-teams moeten alle geprivilegieerde verwijderingen vastleggen, beheersen en documenteren, ook voordat deze de drempelwaarden overschrijden.
Escaleer verdachte verwijderingen
Nadat een verdachte verwijdering is gedetecteerd, leiden drempelwaarden ongebruikelijke activiteit naar de juiste mensen, terwijl routinematige opschoningen onaangeroerd blijven. Die grenswaarden beperken de ruis en richten de aandacht van beheerders op echte risico’s.
De resulterende documentatie laat zien wie wat en wanneer heeft beoordeeld, wat verantwoording aantoont en een heldere audittrail oplevert. Dat helpt beheerders correct in te schatten of verwijderingen routine of kwaadwillend zijn en de juiste vervolgstappen te nemen.
Strategie 4: zet ruwe SaaS-logs om in rapporten voor klanten
Niet elke klant kan omgaan met ingewikkelde cijfers en technisch jargon, wat het wederzijds begrip tussen technici en klanten beperkt. Vertaal technische logs bij het opstellen van een rapport naar cijfers voor de klant met datavisualisatie en begrijpelijke taal.
Transparante communicatie bouwt vertrouwen op bij klanten en toont de waarde van de dienstverlening aan wanneer zich onbedoelde of kwaadaardige verwijderingen voordoen. Dat opent voor MSP’s de deur naar toekomstige samenwerking en helpt interne IT-teams het vertrouwen van hun directie te winnen.
Strategie 5: controleer periodiek of SaaS-back-ups herstelbaar zijn
Regelmatig testen legt risico’s en hiaten in back-upstrategieën bloot, lost knelpunten op en verfijnt hersteldoelstellingen zodat ze aan de compliance-eisen voldoen. Periodiek testen van SaaS-back-ups is noodzakelijk om betrouwbaarheid aan te tonen en naleving van het bewaarbeleid te waarborgen.
Vergelijk na de test of de resultaten voldoen aan de gedocumenteerde hersteltijden, zoals RPO en RTO, zodat u de werkelijke prestaties van de back-up bevestigt. Gebruik prestatiecijfers om onderbouwde maatregelen te nemen, zoals het bijstellen van de back-upfrequentie, het verfijnen van runbooks of het opschalen van strategieën waar de huidige tooling tekortschiet.
Hersteltests moeten de verwijdertypen uit uw inventaris afdekken, zoals een leeggemaakte mailbox of een verwijderde gedeelde drive.
Valideer SaaS-back-ups elk kwartaal en documenteer de testresultaten om tijdens QBR’s te onderbouwen welke acties zijn genomen. Zo stemt u de verwachtingen van klanten af op de technische beperkingen en voorkomt u verrassingen als zich echte incidenten voordoen.
Combineer logging in Google Workspace met het inzicht dat NinjaOne u geeft.
Bekijk een gratis demo van NinjaOne Endpoint management®
NinjaOne-integraties die het volgen en rapporteren van verwijderde SaaS-bestanden ondersteunen
Van het opslaan van documentatie tot het bewaken van SLA-afspraken: NinjaOne is de centrale plek die losse strategieën verbindt tot diensten die u kunt leveren. Dit zijn de NinjaOne-diensten die u kunt inzetten om workflows voor het monitoren en rapporteren van verwijderde SaaS-bestanden te ondersteunen:
- NinjaOne Documentation®. Bundel alle platformoverkoepelende verwijderrapporten van al uw klanten in NinjaOne Docs. Sla documentatie centraal op of maak voor elke klant een aparte knowledge base voor meer overzicht en eenvoudiger toegang.
- Aangepaste notificaties. Maak aangepaste notificaties om technici snel te waarschuwen bij verdachte verwijdergebeurtenissen en plan herinneringen in voor de kwartaalbeoordeling van verwijderactiviteit.
- Uniforme SaaS backup-oplossing. Bescherm data in Microsoft 365 en Google Workspace tegen onbedoelde of kwaadaardige verwijderingen vanuit één uniform portaal.
- Aangepaste rapportagetool. Zet ruwe verwijdercijfers automatisch om in rapporten voor klanten. Maak gebruik van de uitgebreide collectie sjablonen van NinjaOne om relevante inzichten over verwijderingen uit te lichten en rapporten genuanceerd en gericht te maken.
- Geautomatiseerd ticketsysteem. Volg hersteltests, escalaties, verwijderingen en IT-assetmanagement via de geautomatiseerde ticketworkflow van NinjaOne. Geef technici bruikbare inzichten door contextrijke informatie in tickets op te nemen.
Zo ondersteunt NinjaOne het volgen en rapporteren van SaaS-verwijderingen
Van het opslaan van documentatie tot het bijhouden van hersteltests: het NinjaOne-platform bundelt deze strategieën in één workflow. Deze NinjaOne-mogelijkheden ondersteunen het monitoren en rapporteren van SaaS-verwijderingen:
- NinjaOne Documentation. Bundel platformoverkoepelende verwijderrapporten van al uw klanten in NinjaOne Documentation. Sla documentatie centraal op of maak voor elke klant een aparte knowledge base voor meer overzicht en eenvoudiger toegang.
- Aangepaste notificaties. Gebruik aangepaste notificaties om technici snel te waarschuwen wanneer ondersteunde monitoringvoorwaarden worden geactiveerd, waarbij voor externe SaaS-verwijdergebeurtenissen aanvullende integratie nodig is.
- NinjaOne SaaS Backup. Maak een back-up van data in Microsoft 365 en Google Workspace en herstel verwijderde e-mails, bestanden en accounts via selfservice. Een audittrail legt de back-up- en herstelactiviteit vast en de back-updata blijft bewaard nadat de licentie van een gebruiker is ingetrokken.
- Rapportage. Gebruik de gebundelde rapportage van NinjaOne om back-up- en herstelactiviteit met klanten te delen.
- NinjaOne Ticketing. Volg hersteltests, escalaties, verwijderingen en IT-assetmanagement via de geautomatiseerde ticketworkflow van NinjaOne. Geef technici bruikbare inzichten door contextrijke informatie in tickets op te nemen.
Quick-start guide
Dit zijn de belangrijkste inzichten:
DataRobot User Activity Monitor
– Admin Usage Report: levert een rapport van alle gecontroleerde gebeurtenissen die door beheerders zijn gestart en geeft zo zicht op de acties van beheerders.
– SaaS Self-Managed: geschikt voor platformen waar u uw eigen SaaS-omgeving beheert.
Cortex XSIAM
– Monitor Administrative Activity: volg alle door beheerders gestarte acties op notificaties, incidenten en live terminalsessies, voor volledig zicht op het gedrag van beheerders.
SailPoint Identity Services
– User Level Permissions: bepaal binnen SaaS-beheer wie beheerder of rapportagebeheerder is, zodat u kunt sturen wie verwijderingen mag starten.
– Audit Reports: genereer rapporten over beheeracties, inclusief verwijderingen, via het Admin Dashboard of Identity Security Cloud.
Adobe Admin Console
– Track Changes: gebruik de Admin Console om wijzigingen, waaronder verwijderingen, in alle Creative Cloud-applicaties te monitoren en erover te rapporteren.
Power Apps & Power Automate
– PowerShell-cmdlets: automatiseer monitoring- en beheertaken, waaronder het volgen van door beheerders gestarte verwijderingen, met PowerShell voor makers en beheerders van Power Platform.
Microsoft 365
– Waarschuwingsbeleid: stel notificaties in voor verdachte activiteiten, zoals het automatisch doorsturen van e-mails of het aanmaken van regels, die kunnen wijzen op ongeoorloofde verwijderingen.
– Berichtentracering: gebruik tools voor berichtentracering om verwijderde of gewijzigde e-mails door beheerders te monitoren en erover te rapporteren.
Algemene aanbevelingen
– Schakel controle in: zorg dat controle is ingeschakeld op uw SaaS-platformen om beheeracties vast te leggen.
– Beoordeel regelmatig: bekijk periodiek audit logs en rapporten om ongeoorloofde of verdachte verwijderingen te detecteren.
– Waarschuwingsbeleid: configureer waarschuwingsbeleid om beheerders te informeren over kritieke acties, zoals massale verwijderingen of wijzigingen in rechten.
Exporteer SaaS-logs om uw monitoring van verwijderingen te versterken
Het volgen van verdachte verwijderingen door beheerders beperkt risico’s en helpt klanten te voldoen aan wettelijke kaders. Door SaaS-native logs te exporteren, kunnen MSP’s en interne IT platformoverkoepelende verwijderingen centraal bundelen en volgen met een gestandaardiseerde matrix.
Stel drempelwaarden in om automatisch te markeren en te waarschuwen zodra verdachte verwijderingen worden gedetecteerd, zoals het grootschalig wissen van SaaS-data. Beoordeel elk kwartaal de integriteit en betrouwbaarheid van uw SaaS-back-ups en bespreek de bevindingen tijdens QBR’s voor transparante communicatie met klanten.
Zet NinjaOne in naast uw monitoringprocessen om documentatie, rapportage, ticketsysteem en SaaS backup te centraliseren in één platform.
Gerelateerde onderwerpen:
